Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.09)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Nodemailer rozwiązuje międzynarodowe (IDN / nie-ASCII) domeny odbiorcy na inny etykietę Punycode (xn--) niż standardowe parsery zgodne z UTS-46 (np. przeglądarki, URL Standard, Node's url.domainToASCII, Python's idna). Jego normalizator adresów _normalizeAddress może prowadzić do błędnego rozpoznania domeny, co może być wykorzystane do ataków typu phishing lub przejęcia wiadomości.
Złośliwy serwer MySQL (lub atak typu man-in-the-middle) może wymusić na mysql2 wysłanie poświadczeń w postaci jawnego tekstu, żądając przełączenia uwierzytelniania na mysql_clear_password. Sterownik spełnia żądanie bez weryfikacji, czy połączenie korzysta z TLS.
Brak dostępnego opisu podatności w danych źródłowych NVD. Nie można określić szczegółów technicznych ani zakresu wpływu na podstawie dostarczonych informacji.
Parser adresów e-mail w Nodemailer (lib/addressparser/index.js) przetwarza listę adresów oddzielonych przecinkami w czasie kwadratowym (O(n²)) w zależności od liczby adresów. Pojedynczy spreparowany ciąg adresów (np. w polach To, Cc, Bcc, From, Reply-To) może spowodować znaczne spowolnienie.
Podatność w mysql2 (w pliku lib/compressed_protocol.js, linia 43), gdzie zlib.inflate jest używany do dekompresji pakietów. Gdy połączenie jest ustawione z compress: true i serwer obsługuje CLIENT_COMPRESS, każdy przychodzący pakiet jest dekompresowany bez ograniczeń, co może prowadzić do nadmiernego użycia pamięci lub DoS.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS